WordPressで二段階認証（2FA）を設定する方法｜復旧手順も解説

WordPressの管理者パスワードが漏れたとき、パスワードだけでログインできないようにする対策が二段階認証（2FA）です。WordPressコアには標準の2FA設定がないため、通常は保守されているプラグイン、ホスティングの認証機能、または外部IDプロバイダーを使います。

導入時に重要なのは、QRコードを読み取る操作だけではありません。バックアップコード、代替管理者、端末紛失時の解除手順を先に用意しないと、正規の管理者まで締め出されます。この記事では認証方式とプラグインの選び方、認証アプリでの設定、複数ユーザーへの展開、ログイン不能時の復旧まで説明します。

WordPressの二段階認証（2FA）とは

2FAは、性質の異なる二つの要素を使って本人確認する仕組みです。WordPressの一般的な構成では、知っている情報であるパスワードと、所有している端末で生成するワンタイムコードを組み合わせます。

パスワードがフィッシング、使い回し、端末のマルウェアなどで漏れても、第二要素がなければログインしにくくなります。ただし、2FAは脆弱なプラグイン、盗まれたログイン済みセッション、管理者による危険な操作まで防ぐものではありません。

優先して保護したいのは、管理者、編集者、ECの運営者、個人情報へアクセスできる利用者です。権限ごとに可能な操作を整理するには「WordPressユーザー権限」で、管理者以外も含む影響を確認できます。

2FAを有効にしても、長く一意なパスワード、更新、最小権限、ログ監視は続けます。第二要素の秘密鍵やバックアップコードもパスワードと同じ場所へ保存しないでください。

WordPressで利用できる2FA方式

方式ごとに、セキュリティ、運用負荷、オフライン利用、復旧しやすさが異なります。

方式	特徴	主な注意点
認証アプリのTOTP	端末で一定時間ごとのコードを生成	端末時刻、秘密鍵、機種変更の管理が必要
メールコード	登録メールへコードを送信	メールアカウント侵害や配送遅延の影響を受ける
SMSコード	電話番号へコードを送信	SIM乗っ取り、圏外、通信事業者への依存がある
WebAuthn・セキュリティキー	端末や物理キーで認証	対応プラグイン、ブラウザ、予備キーを確認する
外部IDプロバイダー	組織の認証基盤で一括管理	IdP障害、設定ミス、退職者処理を設計する

個人や小規模サイトでは、通信がなくても生成できるTOTP認証アプリが使いやすい選択です。管理者にはWebAuthnや複数の物理キーを使える構成も有力ですが、WordPressプラグインの対応状況を確認します。

メールコードは導入しやすい一方、WordPressと登録メールが同じパスワードで保護されていると、両方を同時に奪われる危険があります。メール側にも別の強い認証を設定します。

2FAプラグインの選び方

プラグイン名の知名度だけでなく、自サイトの利用者構成と復旧要件で選びます。最低限、次を公式配布ページと文書で確認してください。

• 現在のWordPress・PHPとの互換性
• 最終更新日と変更履歴
• TOTP、メール、WebAuthnなど必要な方式
• バックアップコードの有無
• 権限別の必須化と猶予期間
• マルチサイトやWooCommerceの対応範囲
• 管理者によるリセット方法
• 緊急停止時に削除される設定と残る設定
• ログイン画面を変えるプラグインとの互換性

全利用者へ即時必須化する前に、テスト用アカウントで登録、通常ログイン、バックアップコード、リセットを一巡します。フロント側ログイン、会員ページ、XML-RPC、REST API、モバイルアプリを使うサイトは、それぞれの経路への影響も確認します。

複数のセキュリティプラグインがログイン処理を同時に変更すると、ロックアウトやリダイレクトループが起こることがあります。2FA、CAPTCHA、ログインURL変更、アクセス制限の担当を重ねすぎないようにします。

WordPressの二段階認証プラグインを比較

2026年8月時点でWordPress.orgの公式ディレクトリに掲載されている代表例として、Two FactorとWP 2FAがあります。機能や対応版は更新されるため、導入時に公式配布ページを再確認してください。

比較項目	Two Factor	WP 2FA
主な位置づけ	コミュニティ開発のシンプルな2FA	ポリシー管理を含む2FA製品
認証方式	TOTP、メール、バックアップコード	TOTP、メールなど。版により追加方式
利用者設定	各ユーザーのプロフィールが中心	設定ウィザードを用意
権限別必須化	標準機能だけでは要件確認が必要	権限別ポリシーと猶予期間を案内
向く構成	少人数で各自が設定するサイト	複数ユーザーへ段階展開するサイト

Two Factorの公式ページは、TOTP、メールコード、バックアップコードを案内しています。2026年の更新で従来のFIDO U2F方式は削除され、WebAuthnを使う場合は連携用プロバイダープラグインが案内されています。

WP 2FAは、認証アプリ、メールコード、バックアップコードに加え、権限別の必須化や猶予期間を案内しています。無料版と有料版で使える方式や管理機能が異なるため、必要機能がどちらに含まれるかを契約前に確認します。

比較表は選択の入口です。実際には、現在のログインフォーム、利用者数、サポートできる端末、復旧担当者を基準にテストします。

2FA設定前にバックアップコードと復旧手段を準備する

2FAを有効にする前に、第二要素が使えない状態を想定します。復旧手段を用意せず全管理者へ強制すると、端末故障や時刻ずれだけで更新作業が止まります。

準備するものは次のとおりです。

• 一度だけ使えるバックアップコード
• 別端末または予備の認証器
• 2FAをリセットできる別の管理者
• サーバーのファイル管理またはSFTPへの安全なアクセス
• 使用プラグイン固有の緊急停止手順
• 管理者本人を確認する社内手順

バックアップコードは、生成直後に安全なパスワード管理ツールや暗号化された保管先へ移します。印刷する場合は施錠できる場所に置き、使用済みコードを識別できるようにします。WordPressのパスワードと同じメモへ平文で保存しません。

緊急解除の権限が一人に集中すると、その人が不在のときに復旧できません。少なくとも二人が手順を理解し、解除操作自体も記録する運用が安全です。

認証アプリを使って2FAを設定する手順

具体的な画面名はプラグインで異なりますが、TOTPの設定は次の流れです。最初は一つのテスト管理者で行い、バックアップコードによるログインまで確認します。

1. ファイルとデータベースをバックアップする
2. 公式ディレクトリから選んだ2FAプラグインをインストールして有効化する
3. 対象ユーザーのプロフィールまたは2FA設定画面を開く
4. 認証アプリ方式を選ぶ
5. 認証アプリでQRコードを読み取る
6. 表示されたワンタイムコードをWordPressへ入力する
7. バックアップコードを生成して別の安全な場所へ保管する
8. いったんログアウトし、通常コードで再ログインする
9. 別のブラウザでバックアップコードもテストする

QRコードには、アカウントを登録するための秘密情報が含まれます。スクリーンショットをチャットへ貼ったり、共有フォルダーへ保存したりしないでください。手動入力キーも同じ扱いです。

コードが通らない場合は、スマートフォンの日時を自動設定にし、サーバー時刻も確認します。TOTPは時間を使ってコードを生成するため、時計が大きくずれると一致しません。何度も試してロックされる前に、設定画面の秘密鍵を登録し直します。

複数ユーザー・権限別に2FAを必須化する

複数ユーザーへ導入する場合は、管理者から始め、編集者、注文・会員データを扱う担当者へ広げます。全員を同じ日に締め出すのではなく、案内、登録期間、必須化、未登録者対応の順に進めます。

展開計画には次を含めます。

1. 対象となる権限と人数を確定する
2. 対応する認証方式と端末条件を案内する
3. テスト利用者でログインと復旧を確認する
4. 猶予期間を設けて各自に登録してもらう
5. 未登録者を確認して個別支援する
6. 必須化後の問い合わせ窓口を決める
7. 退職・異動時のアカウント停止へ組み込む

個人所有のスマートフォンを業務利用させる場合は、端末紛失時の連絡、機種変更、費用、プライバシーの社内方針も必要です。スマートフォンを使えない人向けに、物理キーや別方式を検討します。

共有アカウントへ一台の端末をひも付ける運用は、誰が操作したか分からず、退職時の切り離しも困難です。利用者ごとのアカウントを作り、必要最小限の権限を与えます。

スマホ紛失・機種変更・ログイン不能時の復旧

端末を失ったときは、通常のログイン画面でバックアップコードまたは登録済みの代替方式を使います。ログインできたら、失った端末の登録を解除し、新しい認証器を追加し、バックアップコードを再生成します。

復旧の優先順は次のとおりです。

1. バックアップコードを使う
2. 登録済みの別方式または予備端末を使う
3. 別の管理者に本人確認後のリセットを依頼する
4. プラグイン公式の緊急解除手順を使う
5. 必要に応じてファイル管理からプラグインを一時停止する

プラグインフォルダーの改名による停止は、サイト全体の2FAを無効にする可能性がある緊急手段です。先にバックアップを取得し、保護されたサーバーアクセスから行います。ログイン後は原因を確認し、同じプラグインを安全に戻すか、設定を再構成します。

ログイン経路そのものに問題がある場合は「ログインできない時の対処」でCookie、URL、権限、プラグイン競合を分けて確認できます。ログイン先を独自URLへ変更しているサイトでは「ログインURLの変更」も照合し、標準URLと2FA処理の対応を確認してください。

電話やメールで解除依頼を受けたときは、表示名だけで本人と判断しません。登録済み連絡先、社員情報、別経路の確認など、事前に決めた手順を使います。攻撃者が「機種変更した」と装う可能性があります。

アプリケーションパスワードとの違い

WordPressのアプリケーションパスワードは、人がブラウザへログインするための第二要素ではありません。REST APIやXML-RPCなどへ接続するアプリ、スクリプト、連携サービス用の、ユーザーごと・用途ごとに発行して取り消せる認証情報です。

項目	2FA	アプリケーションパスワード
主な用途	人の対話的ログインを強化	APIや外部アプリを認証
使用場面	ユーザー名・パスワードの後	APIクライアントの資格情報
個別失効	方式・端末・設定による	発行した資格情報ごとに可能
代替関係	アプリ用資格情報の代わりではない	2FAの代わりではない

WordPress公式は、アプリケーションパスワードをHTTPS上で使用し、生成時に一度だけ表示される値を安全に保存するよう案内しています。用途が終わったら個別に取り消し、利用目的が分かる名前を付けます。

2FAを必須化した後に外部連携が失敗しても、通常の管理者パスワードを連携ツールへ保存しないでください。連携側が対応する認証方式を確認し、必要な範囲だけの専用ユーザーも検討します。

2FAと併用したいログイン対策

2FAはログイン防御の一層です。サイト全体の保護には、次の対策を組み合わせます。

• 管理者ごとに一意で長いパスワードを使う
• パスワード管理ツールを利用する
• 不要ユーザーを停止・削除する
• 管理者権限を必要な人だけにする
• WordPress本体、テーマ、プラグインを更新する
• HTTPSを全ログイン経路へ適用する
• 失敗ログインと管理者操作を監視する
• バックアップと復旧手順を定期的に試す

CAPTCHAやログイン試行制限は自動攻撃を減らせますが、設定が厳しすぎると正規利用者を止めます。CDN、WAF、ホスティング側の制限と重複していないか確認します。

管理画面以外も含む点検は「セキュリティ対策まとめ」で、更新、権限、バックアップ、監視を一つの運用として整理できます。2FAを導入した日だけでなく、新規ユーザー追加、権限変更、退職、端末交換のたびに手順を適用してください。

よくある質問

まとめ

WordPressで2FAを導入するなら、認証方式の強さだけでなく、バックアップコード、予備端末、別管理者、緊急解除を含めて設計します。少人数ならTOTPを各ユーザーが設定できるシンプルな構成、複数権限へ必須化するならポリシーと猶予期間を管理できる構成が候補です。

最初にテスト管理者で通常ログインと復旧を確認し、管理者から段階的に広げてください。2FAは強いパスワード、更新、最小権限、監視、バックアップと組み合わせることで、ログイン情報が漏れたときの被害を抑えやすくなります。